В нее входят более 120 ресурсов: около 50 доменов, не менее 74 Telegram-каналов, а также аккаунты в социальных сетях.
В большинстве случаев злоумышленники использовали их для распространения фейковых новостей, а иногда, выдавая себя за государственные ведомства, запрашивали данные сотрудников российских организаций.
С чего все началось 📰
В процессе мониторинга активности, направленной на страны СНГ и, в частности, Россию, наши эксперты обнаружили письмо, адресованное промышленному предприятию. Внутри — вложения с напоминанием о задолженности по заработной плате.
Письмо побуждало получателя отправить информацию на почту, связанную с доменом
minpromtorg.digital. Реальное министерство к нему отношения не имеет.Исследовав этот домен, эксперты обнаружили 35 других доменов, связанных с электронной почтой регистранта. Впоследствии были найдены еще 10 связанных доменов — и понеслось: специалисты начали распутывать этот клубок.
И вот что удалось выяснить 🕵️♂️
1️⃣ Значительная часть доменов имитировала официальные новостные порталы, где правдоподобные сообщения соседствовали с фейковыми, а ссылки вели на несуществующие источники. Многие из них делали ставку на привлекающие внимание провокационные заголовки — то есть кликбейт.
2️⃣ Для распространения фейков использовались аккаунты и страницы во всех популярных соцсетях, видеоплатформах и мессенджерах. Больше всего активных каналов эксперты обнаружили в Telegram. Десятки из них публиковали одинаковые тексты со ссылками на одни и те же ресурсы, что и позволило связать их в одну информационную кампанию.
3️⃣ Некоторые российские компании получили письма якобы от государственных ведомств с доменов, похожих на официальные (как в начале поста). От их имени злоумышленники рассылали ложную информацию — например, о введении ЧС в регионе. Предполагаем, что таким образом они пытались добиться публикации этих сообщений настоящими СМИ.
4️⃣ Часть писем преследовала другую цель: киберпреступники просили передать списки работников или сведения о зарплатах. Такие данные могут пригодиться для последующих целевых атак — на конкретных людей. При этом в самих письмах вредоносных вложений не было.
Кто стоит за этой кампанией 🧐
На одном из доменов был найден архив с очень редким путем хранения файлов, который ранее встречался только в кампаниях APT-группировки Rare Werewolf.
Первые письма этой группировки обычно не содержат вредоносных вложений — атака начинается после ответа получателя на сообщение.
Схожесть писем, общая тематика и нацеленность на Россию позволяют предположить, что фейковая кампания может быть связана с активностью именно этой группировки.
А зачем 🤷♀️
Главное отличие таких кампаний по дезинформации от привычных кибератак в том, что они направлены не на ИТ-системы, а на восприятие людей. И остановить их только средствами защиты не получится.
Важно, чтобы пользователи сами умели фильтровать такой контент и перепроверять информацию.
👀 Полное расследование — в блоге на нашем сайте. В нем вы найдете список соцсетей и доменов, которые злоумышленники использовали в этой кампании, и другие ее подробности.
#PTESC
@Positive_Technologies